- Yama var
- Son 7 gün
- CWE-79
CVE-2026-110813
Advanced Custom Fields (ACF) eklentisinde kimlik doğrulamasız depolanmış XSS açığı
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, WordPress sitelerinizde yaygın kullanılan bir eklentiyi etkiliyor ve yöneticilerinizin hesaplarının ele geçirilmesine yol açabilir. Saldırganlar hesap açmadan bu açığı kullanabildiği için risk yüksektir. Eklentinin güncel sürüme alınması hemen planlanmalıdır.
ÖzetTürkçe
Advanced Custom Fields (ACF) WordPress eklentisinin 6.8.11 öncesi sürümlerinde, saklanan alan tanımları yorum işleme mekanizması üzerinden değiştirilebilmekte ve bu tanımlar yeterince temizlenmemektedir. Kimlik doğrulaması olmayan bir saldırgan, HTML öznitelik adı olarak çıktıya düşen ve tarayıcıda JavaScript olarak çalışan bir kod enjekte edebilir. Etkilenen sürümleri kullanan WordPress siteleri risk altındadır.
Saldırgan ne yapabilir?
Saldırgan, etkilenen alanı görüntüleyen herhangi bir ziyaretçinin veya yöneticinin tarayıcısında keyfi JavaScript çalıştırabilir. Bu, oturum bilgilerinin çalınmasına, yönetici adına istem dışı işlemlerin yapılmasına ve sitenin ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The Advanced Custom Fields (ACF®) WordPress plugin before 6.8.11 does not properly sanitize a stored field definition that can be modified through its comment handling, allowing unauthenticated users to inject a payload that is emitted as an HTML attribute name and executed as JavaScript in the browser of any visitor or administrator who views a page rendering the affected field.
Ne yapmalı?
- Advanced Custom Fields (ACF) eklentisini 6.8.11 veya üzeri bir sürüme güncelleyin. Üretici
- Güncellemeden sonra site yöneticisi ve ziyaretçilerin erişebildiği alan içeren sayfaları kontrol ederek şüpheli betik veya öznitelik içeriklerini inceleyin. Genel öneri
- Güncelleme öncesinde, mümkünse eklentiyi geçici olarak devre dışı bırakın veya alan tanımlarına erişimi kısıtlayın. Genel öneri
Ek önlemler
- Yönetici hesaplarında güçlü parolalar kullanın ve iki faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
- Yönetici oturumlarının çalınmasına karşı oturum sürelerini kısıtlayın ve şüpheli oturumları izleyin. Genel öneri
- Tarayıcılarda içerik güvenlik politikası (CSP) gibi ek koruma katmanlarını değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Advanced Custom Fields (ACF®) | < 6.8.11 | 6.8.11 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/f7373dad-036e-47f4-b8a5-584341f66560 İstismar kodu ya da analiz
Kayıt geçmişi
- CVSS puanı değişti: – → 7.5
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.